Hva skjedde

Datatilsynet offentliggjorde 31. oktober 2023 at Det europeiske personvernrådet (EDPB) hadde vedtatt et hastevedtak etter norsk anmodning. Vedtaket, som ble truffet 27. oktober, påla det irske datatilsynet å forby Meta å behandle personopplysninger til atferdsbasert reklame på Facebook og Instagram med «avtale» eller «berettiget interesse» som behandlingsgrunnlag i hele EØS.

Bakgrunnen var at Datatilsynet i juli hadde lagt ned et midlertidig norsk forbud. Tilsynet mente Meta fortsatt sporet og profilerte brukere ulovlig etter tidligere europeiske avgjørelser. Et nasjonalt hastetiltak etter GDPR artikkel 66 kan bare vare i en begrenset periode. Derfor ba Datatilsynet EDPB om endelige tiltak med virkning utover Norge.

Hva betyr det for virksomheten?

Saken illustrerer hvordan GDPRs samarbeidsmekanismer kan få direkte betydning for en digital forretningsmodell. Atferdsbasert reklame bygger ofte på detaljerte profiler basert på aktivitet, plassering, interesser og samhandling med annonser. Når et behandlingsgrunnlag faller bort, er det ikke nok å justere personvernerklæringen. Datainnsamling, profilering, annonsevalg og leverandørstrømmer må endres som ett sammenhengende system.

For virksomheter er lærdommen å knytte hvert behandlingsformål til et dokumentert og holdbart rettslig grunnlag. «Avtale» kan bare brukes når behandlingen er nødvendig for å levere selve tjenesten. «Berettiget interesse» krever et reelt nødvendighets- og interesseavveiningsarbeid. Dersom virksomheten vil basere sporing på samtykke, må samtykket være frivillig, informert, spesifikt og like enkelt å trekke tilbake som å gi.

Vedtaket endret ikke GDPR. Det var et bindende håndhevingstiltak innenfor regelverket som allerede gjaldt i Norge og resten av EØS. Saken viste samtidig at et norsk tilsyn kan utløse samordnet europeisk håndheving når risikoen for registrerte er akutt.

Kilder

Det europeiske personvernrådet (EDPB): «EDPB Urgent Binding Decision 01/2023», 27. oktober 2023.

Datatilsynet: «Datatilsynets vedtak mot Meta utvides til EU/EØS og gjøres permanent», 31. oktober 2023.

Til diskusjon

Hvilke beslutninger, standardvalg eller leverandøravhengigheter i vår virksomhet bør vi undersøke først i lys av denne utviklingen?